Am 15. Oktober 2026 veröffentlichte Unit 42 eine Analyse zu Aktivitäten gegen Behörden und staatsnahe Infrastruktur zwischen Oktober 2025 und April 2026. Das Team von Palo Alto Networks führt die Kampagne unter dem Kürzel CL-UNK-1211 und vermutet anhand von Skriptspuren mögliche KI-Unterstützung. Unit 42s Analyse ordnet den Cluster keiner bekannten staatlichen oder kriminellen Gruppierung zu.
Was Unit 42 über CL-UNK-1211 berichtet
Die Analyse beschreibt Linux-Aufklärung, Methoden zur dauerhaften Verankerung auf Systemen, das Sammeln von Zugangsdaten sowie Versuche, Mailboxen und Datenbanken auszulesen. Zum Werkzeugmix gehörten Web-Shells – Programme, mit denen sich ein Server über das Web fernsteuern lässt –, frei verfügbare Werkzeuge, eigene Skripte und SysGoRAT. Unit 42 berichtet außerdem von mindestens sieben verschiedenen Command-and-Control-Servern für Reverse Shells: Verbindungen, über die Angreifer Befehle an ein kompromittiertes System senden können.
Die Bezeichnung CL-UNK-1211 steht für einen Aktivitätscluster. Unit 42 zufolge ist dessen Zuordnung zu einem Staat oder einer Cybercrime-Gruppe nicht bestimmt.
Warum Unit 42 einen möglichen KI-Einsatz vermutet
Mehrere Skripte enthielten Gesprächs- und schrittweise Begründungskommentare. Zusammen mit weiteren Programmiermustern wertet Unit 42 diese Spuren als Hinweis auf mögliche KI-Unterstützung. Als denkbare Wege nennt das Team aus einem Sprachmodell kopierten Code oder einen automatisierten KI-Agenten.
Ein anderer Fall betrifft eine von Anthropic zugeschriebene Claude-Kampagne gegen Ziele in der Ukraine und Europa; NeoTeo berichtete darüber separat. Die beiden Berichte behandeln unterschiedliche Kampagnen.
Linux-Zugriff, Zugangsdaten und SysGoRAT
Zu den beschriebenen Linux-Techniken gehörten Änderungen an PHPs auto_prepend_file-Einstellung, getarnte PHP-Web-Shells und Änderungen an SSH-authorized_keys-Dateien. Außerdem suchten Skripte nach Zugangsdaten, unter anderem in Dateien und im Shell-Verlauf. Ein weiterer Ansatz setzte bei einem sudo-Alias in .bashrc an, um eingegebene Zugangsdaten abzufangen.
Unit 42 beschreibt SysGoRAT als eigens entwickelte Go-Schadsoftware zur Fernsteuerung, die Linux und Windows unterstützt und WebSocket-Verbindungen für die Kommunikation mit dem Kontrollserver nutzt. Das Werkzeug hatte laut Analyse sieben Befehlstypen, vier Unteraktionen für Steuerbefehle und sechs Methoden, sich dauerhaft auf einem System einzurichten. Eine der Linux-Methoden nutzte einen Cron-Auftrag, der alle fünf Minuten ausgeführt werden sollte. Die Technik über Named Pipes und Netcat kam laut Unit 42 bei drei der mindestens sieben Server für Reverse Shells zum Einsatz.
Versuche, Mailboxen und Datenbanken auszulesen
Ein PHP-Skript durchsuchte Mail-Verzeichnisse nach Nachrichten mit Bezug zu sozialen Medien. Ein beobachtetes Skript, das Mailboxen komprimieren sollte, enthielt jedoch Syntaxfehler und wäre in dieser Form bei der Ausführung gescheitert.
Bei Datenbanken beschreibt Unit 42 zunächst ein Skript, das aus vier Tabellen jeweils bis zu 100 Zeilen in eine lokale SQLite-Datenbank kopierte. Anschließend versuchten die Angreifer laut Analyse, vollständige Tabelleninhalte auszulesen und Daten abzutransportieren. Die Untersuchung führt diese Schritte als Versuche auf.
Abwehrversuche und getarnte Spuren
Die Angreifer versuchten, Protokolle zu löschen, Datei-Zeitstempel zu verändern und Prozesse zum Entfernen einmaliger Skripte zu nutzen. Unit 42 zufolge erkannte und blockierte Cortex XDR Versuche, Prozesse der Endpoint-Schutzsoftware zu beenden; die Telemetrie zeigte, dass der Schutz nicht unterdrückt wurde.
Der Dateiname Solarwinds.StatusLog.txt diente laut Unit 42 als Tarnung. Das Team fand in dieser Untersuchung keine Hinweise auf einen Kompromiss von Systemen oder Infrastruktur von SolarWinds.
